Wenn geprüfte Informationen wichtiger werden als Daten

Entscheidungen entstehen heute im System. Nachweise wirken
darüber hinaus.

Systeme entscheiden isoliert.

IAM-Systeme sind darauf ausgelegt, innerhalb ihrer eigenen Grenzen zu funktionieren. Sie verwalten Identitäten, vergeben Rollen und treffen Zugriffsentscheidungen auf Basis von Daten, die sie selbst kontrollieren.

Sobald eine Information an anderer Stelle gebraucht wird, beginnt der Ablauf von vorne. Eine Identität wird erneut geprüft. Eine Berechtigung erneut bewertet. Eine Entscheidung erneut getroffen.

Das führt zu bekannten Mustern:

• dieselben Prüfungen in mehreren Systemen
• Entscheidungen, die nicht weitergegeben werden können
• manuelle Abstimmung zwischen Teams und Anwendungen
• steigender Aufwand mit jeder neuen Integration

Diese Logik ist stabil. Aber sie skaliert schlecht.

Nachweise verschieben den Bezugspunkt.

Digitale Nachweise setzen nicht bei der Prüfung an, sondern beim Ergebnis. Eine Entscheidung bleibt nicht im System. Sie wird als Nachweis verfügbar gemacht. Damit kann sie später in einem anderen Kontext wieder genutzt werden.

Das verändert nicht einzelne Prozesse, sondern ihre Verbindung:

• eine Identität wird einmal geprüft
• das Ergebnis wird als Nachweis bereitgestellt
• andere Systeme greifen darauf zu, statt neu zu prüfen

Informationen werden nicht mehr weitergereicht. Es wird geprüft, ob ein Nachweis gültig ist.

IAM ist dafür nicht gebaut.

Klassisches IAM arbeitet mit internen Datenstrukturen. Attribute, Rollen und Gruppen liegen im eigenen System oder in eng angebundenen Quellen. Digitale Nachweise kommen von außen und bringen ihre eigene Vertrauensbasis mit. Sie müssen im jeweiligen Nutzungskontext geprüft werden.

Genau hier entsteht die Lücke. Nachweise existieren, aber sie passen nicht in bestehende Entscheidungslogiken. Deshalb bleiben sie ungenutzt.

Zwei Modelle treffen aufeinander.

Auf der einen Seite stehen gewachsene IAM-Landschaften, die Entscheidungen intern treffen und verwalten. Auf der anderen Seite entsteht eine Infrastruktur rund um Wallets, Verifiable Credentials und regulatorische Rahmen wie eIDAS 2.0.

Beide Modelle sind für sich schlüssig. Sie greifen nur noch nicht ineinander. Die Verbindung entsteht erst dort, wo Systeme lernen, Nachweise zu verarbeiten.

Was sich technisch wirklich ändert.

Es braucht keine neue IAM-Landschaft. Es braucht eine Erweiterung.

• Systeme müssen Nachweise gezielt anfordern können.
• Systeme müssen Nachweise automatisiert prüfen.
• Systeme müssen geprüfte Ergebnisse in bestehende Entscheidungen
  einbeziehen.

Dabei bleibt die bestehende Logik erhalten. Rollen, Policies und Prozesse bleiben bestehen. Sie greifen nur auf eine andere Grundlage zu.

Daten beantworten etwas anderes als Nachweise.

Ein Datensatz beschreibt einen Zustand. Ein Nachweis bestätigt ihn. Dieser Unterschied wird oft unterschätzt. Daten können kopiert, verändert oder veraltet sein. Nachweise sind signiert, prüfbar und an eine Vertrauensbasis gebunden.

Das wirkt sich direkt auf Entscheidungen aus:

• Herkunft ist nachvollziehbar
• Gültigkeit ist prüfbar
• Status ist aktuell

Systeme müssen weniger wissen. Sie müssen mehr prüfen.

Wallets liefern, Systeme müssen verstehen.

Wallets machen Nachweise verfügbar. Sie lösen aber nicht, wie Systeme damit umgehen.

Ein Wallet kann einen Nachweis bereitstellen. Ob ein System ihn einordnen und nutzen kann, hängt von der Integration ab. Deshalb gehört die Entwicklung rund um Wallets und EUDI immer zusammen
mit der Frage, wie bestehende Systeme angebunden werden.

Entscheidungen werden wiederverwendbar.

Sobald Entscheidungen als Nachweise vorliegen, verändert sich ihr Lebenszyklus. Eine Prüfung wird nicht mehr nur dokumentiert. Sie wird nutzbar.

Der Ablauf wird dadurch einfacher:

• Eine Entscheidung entsteht im Ursprungssystem.
• Sie wird als Nachweis bereitgestellt.
• Sie wird in anderen Prozessen direkt genutzt.

Das ist die Grundlage für nachweisbasierte Prozesse.

Was sich in der Praxis zeigt.

Dort, wo digitale Nachweise integriert werden, entsteht ein klares Bild.

• Weniger doppelte Prüfungen.
• Weniger Abstimmung zwischen Systemen.
• Nachvollziehbare Entscheidungsgrundlagen.

Ein Beispiel sind Zugriffsentscheidungen auf Basis geprüfter Nachweise.
Eine Prüfung erfolgt einmal. Das Ergebnis wird in weiteren Systemen
direkt verwendet.

Wo die Veränderung konkret liegt.

IAM wird nicht ersetzt. Es verschiebt sich.

• Die Entscheidung bleibt im System.
• Die Grundlage der Entscheidung verändert sich.

Nicht mehr nur interne Daten zählen, sondern geprüfte Nachweise.

Damit entsteht eine Architektur, in der Systeme anschlussfähig bleiben,
ohne neu aufgebaut zu werden.